PS-00435-2024

1/23  Expediente N.º: EXP202409001 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17/06/2024 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, VF). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta la recepción de comunicaciones electrónicas comerciales de VF de la que es cliente, por correo electrónico y por SMS, a pesar de que hizo constar su deseo de no recibirlas. Junto con el escrito de reclamación aporta copia de dos comunicaciones recibidas por correo electrónico, de fechas 22/05/2024 y 17/06/2024 respectivamente, acompañadas de sus cabeceras, añadiendo que, en ninguna de ellas figura procedimiento para que los destinatarios puedan oponerse o revocar el consentimiento prestado para el tratamiento de sus datos con fines comerciales. Asimismo, adjunta correo electrónico dirigido a la dirección del DPD de la parte reclamada, de fecha 22/05/2024, comunicando las dos circunstancias anteriores. Con fecha 19/06/2024 la parte reclamante remite como documentación adicional relativa a su reclamación un correo electrónico de VF, de 16/06/2024, con una nueva comunicación comercial con las mismas características de los anteriores. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a VF, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ). La notificación fue puesta a disposición con fecha 19/06/2024 y la fecha de acceso a su contenido fue el 25/06/2024, como consta en el certificado que obra en el expediente. TERCERO: Con fecha 23/07/2024 se recibió respuesta al traslado de A.A.A., Delegado/a de Protección de Datos (en adelante DPD) de VF, en la que consta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 - Comunica que los datos de la parte reclamante se encuentran correctamente incluidos en la lista Robinson interna de VF y adjunta pantallazo de la ficha de cliente de la parte reclamante con esa información. Indica no obstante que “debido a un error puntual y aislado en el momento del filtrado de la campaña publicitaria saliente no se excluyeron los datos (…) lo que dio lugar a que recibiese dichas comunicaciones”. - Afirma que a VF no le consta haber recibido en la dirección de su DPO el correo electrónico de 22/05/2024 mencionado por la parte reclamante y que ha procedido a emitir una carta al reclamante (que se adjunta) donde se le informa de las gestiones llevadas a cabo. - Señala que “todas las comunicaciones comerciales enviadas por parte de Vodafone incorporan un enlace con el fin de que los interesados tramiten su derecho de oposición a la recepción de las mismas” y adjunta captura de pantalla de algunos ejemplos de comunicaciones comerciales (si bien no de las fechas que refiere el reclamante). CUARTO: Con fecha 17/09/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con posterioridad, la parte reclamante presentó la siguiente documentación adicional en relación con su reclamación: - - Con fecha 23/07/2024, comunica haber recibido la carta mencionada en la respuesta al traslado de VF, pero cuestiona que se deba a un error puntual, puesto que ha recibido un nuevo correo electrónico con fecha 16/07/2024, que adjunta. Con fecha 20/08/2024 remite pantallazo de dos nuevos envíos de información comercial de VF, en ese caso por SMS, en los que no consta fecha de recepción. Con fecha 03/09/2024 remite pantallazo de dos nuevas comunicaciones comerciales de VF por SMS, en los que no consta fecha de recepción. Con fecha 19/10/2024 envía pantallazo de un nuevo SMS de información comercial, de fecha 08/09/2024. SEXTO: Con fecha 03/12/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 21.1 de la LSSI y del artículo 21.2 de la LSSI, ambas tipificadas en el artículo 38.4.

1. d)de la LSSI. SÉPTIMO: Con fecha 17/12/2024, VF solicitó una ampliación del plazo de alegaciones, que fue concedido el 23/12/2024. El 10/01/2025, VF presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: En relación con los envíos de correos electrónicos, reitera que se debieron a un error puntual, por estar incorrectamente introducidas en la base de datos de la empresa las preferencias del reclamante en relación con la recepción de publicidad, lo que se corrigió tras el traslado del expediente. Asimismo, reitera no haber recibido el escrito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 del reclamante, de fecha 22/05/2024, hasta el traslado de la reclamación, aportando al respecto una captura de pantalla del correspondiente buzón de correo donde no figura el mensaje del reclamante. Por último, reitera VF que sus comunicaciones comerciales incorporan una cláusula informativa sobre el tratamiento de datos en la que se incluye información específica sobre los derechos, así como un enlace con el fin de que los interesados tramiten su derecho de oposición a la recepción. Aporta el texto de dicha cláusula, así como varias capturas de pantalla de la misma en diferentes comunicaciones comerciales enviadas por VF. En cuanto a los mensajes SMS, indica que varios de ellos no tienen fecha y aporta una captura de pantalla de sus bases de datos donde figura que los SMS aportados por el reclamante y de los que no consta fecha fueron recibidos por el reclamante entre el 16/08/2024 y el 08/09/2024. A este respecto, alega que el reclamante habría cambiado sus preferencias el 16/08/2024, dejando de estar en la “lista Robinson” interna de la empresa y las volvió a modificar el 08/09/2024, para volver a estar incluido en ella. Aporta al respecto una captura de pantalla de una aplicación de la empresa en la que figura un listado de acciones en la ficha del cliente, en dos de las cuales, con las fechas citadas, figuran las indicaciones “SÍ A NO” y “NO A SÍ” respectivamente, en referencia a dicha lista. Por este motivo, según la alegación de VF, no se habría producido un incumplimiento del artículo 21 de la LSSI, por cuanto en las fechas en las que el reclamante recibió los citados mensajes SMS, había consentido la recepción de publicidad. Por último, alega VF que, en caso de imponerse una sanción en el presente procedimiento, deberían tenerse en cuenta, como circunstancias atenuantes, la adhesión de VF al “Código de conducta para el tratamiento de datos en la actividad publicitaria” desarrollado por Autocontrol en colaboración con la AEPD, y que la presente reclamación podría haberse tramitado en el marco de dicho código. Asimismo, alega que deberían considerarse como circunstancias atenuantes la falta de intencionalidad o negligencia, así como el plazo de tiempo en que se cometió la infracción, en la medida en que la incidencia relativa a la recepción de correos electrónicos fue subsanada con celeridad cuando VF tuvo constancia de ella, esto es, cuando recibió el traslado de la reclamación. OCTAVO: Con fecha 27/01/2025, el instructor formuló como propuesta de resolución que por la Presidencia de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA, S.A.U., por la infracción del artículo 21.1 de la LSSI, con multa de QUINCE MIL euros (15.000,00 euros) y por infracción del artículo 21.2 de la LSSI, con multa de CINCO MIL euros (5.000,00 euros). NOVENO: Notificada la propuesta de resolución, con fecha 07/02/2025, VF solicitó una ampliación del plazo de alegaciones, que fue concedida con fecha 12/02/2025. Con fecha 25/02/2025, VF presentó alegaciones a la propuesta de resolución, que se resumen a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 La primera alegación se refiere a los tres correos electrónicos recibidos por el reclamante, sobre los que VF afirma que, si bien en las alegaciones al acuerdo de inicio se atribuyeron a un error técnico puntual a la hora de aplicar el filtro Robinson, tras volver a realizar una revisión se ha constatado que la cuenta de correo electrónico del reclamante constaba también como cuenta de contacto de otro cliente que sí tenía autorizado el envío de comunicaciones comerciales. En relación con esta misma alegación, para evidenciar la no recepción de la solicitud del reclamante en el buzón de su DPO, informa de que se ha solicitado al equipo forense de VF que consulte el servidor de la cuenta de correo y aporta los resultados de esa consulta, realizada en base a varios parámetros (nombre y correo electrónico del reclamante, asunto del correo, fechas y destinatario) de acuerdo con los cuales, afirma que VF no habría recibido el correo indicado por el reclamante La segunda alegación se refiere al envío de mensajes SMS y al hecho de que no se hayan tenido en cuenta las pruebas aportadas, en concreto las capturas de pantalla del sistema de la empresa, que presentó como acreditación de que contaba con el consentimiento del reclamante para el envío de comunicaciones comerciales. La tercera alegación se refiere a la presunta infracción del artículo 21.2 de la LSSI. Manifiesta VF que cuenta con un proceso interno en virtud del cual todas y cada una de las comunicaciones comerciales de Vodafone deben incorporar un mecanismo válido de oposición. En cuarto lugar, alega VF que, en caso de que se entendiera que ha habido infracción, no existiría culpa en los términos del artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante LRJSP), en la medida en que tendría que acreditarse una falta de diligencia por parte de VF y entiende que no habría negligencia en la medida en que VF contaba con procedimientos internos para incorporar mecanismos de oposición en sus comunicaciones comerciales. En quinto lugar, alega VF que, en el caso de que se entendiera que sí puede imponerse una sanción, deberán tenerse en cuenta las siguientes circunstancias atenuantes: - La adhesión al “Código para el tratamiento de datos en la actividad publicitaria” de Autocontrol. La falta de intencionalidad o negligencia grave, dado que no se había conocido la raíz del problema y actualmente se ha dado solución al mismo. Plazo de tiempo durante el que se ha venido cometiendo la infracción, reiterando que el envío de SMS entre el 19/08/2024 y el 08/09/2024 era legítimo. Finalmente, alega VF no estar de acuerdo con las circunstancias mencionadas por esta Agencia para graduar las sanciones de los artículos 21.1 y 21.2 de la LSSI: - En cuanto a la afirmación de esta Agencia en el acuerdo de inicio de que el envío de spam se ha repetido en varias ocasiones incluso con posterioridad al traslado de la reclamación por parte de la Agencia, VF insiste en los argumentos de la primera y segunda alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 - - En relación con la mención por parte de esta Agencia del expediente EXP202211263, alega VF que no se fundamenta en el acuerdo de inicio la analogía entre ese procedimiento y el presente y que dicho procedimiento finalizó por pago voluntario sin asunción de culpa por parte de VF, por lo que no debería ser tenido en cuenta. Por último, alega que en el acuerdo de inicio se afirma que existen cuatro correos electrónicos en los que no consta la posibilidad de oponerse al tratamiento, cuando en realidad serían únicamente tres. HECHOS PROBADOS PRIMERO: Se ha acreditado, a partir de las capturas de pantalla aportadas junto con la reclamación, que el reclamante recibió las siguientes comunicaciones de carácter comercial de VF con las siguientes fechas y contenido: - 22/05/24, correo electrónico, con el título “¿Buscas un regalo…” 17/06/24, correo electrónico, con el título “¡Vodafone TV te trae Netflix!” 19/06/24, correo electrónico, con el título “Promo verano” 16/07/24, correo electrónico, con el título “Nuevos plegables de Samsung” SEGUNDO: Que en los correos electrónicos de fecha 22/05/24, 17/06/24 y 19/06/24, anteriormente citados, no se hace referencia a la posibilidad de oponerse al tratamiento de sus datos con fines promocionales ni una dirección de correo electrónico u otra dirección electrónica válida para ejercitar este derecho. TERCERO: Que el 23/07/2024 VF remite carta al reclamante, en relación con los mensajes enviados por correo electrónico, informándole de un error puntual de inclusión en su base de datos. CUARTO: Se ha acreditado, a partir de las capturas de pantalla aportadas junto a la reclamación y de la información adicional sobre las fechas que aporta VF, que el reclamante recibió las siguientes comunicaciones de carácter comercial de VF con las siguientes fechas y contenido: - 19/08/24, SMS, con el título “Publi: Remate final Xiaomi redmi A midnight black” 29/08/24, SMS, con el título “Publi: REMATE FINAL Xiaomi Redmi 13 C navy blue” 01/09/24, SMS, con el título “Publi: tenemos nuevos planes para ti” 08/09/24, SMS, con el título “Publi: Protege tus líneas de ciberamenazas” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Alegaciones En respuesta a las alegaciones formuladas al acuerdo de inicio cabe señalar lo siguiente: En cuanto al envío de los cuatro correos electrónicos mencionados, VF reconoce que efectivamente se remitieron aun habiendo ejercido el reclamante su derecho de oposición, si bien alega que se debe a un error puntual y que fue solventado con celeridad al tener constancia de él por el traslado de la reclamación. No cabe aceptar, sin embargo, como prueba de no haber recibido la comunicación del interesado en la que ejerce su derecho de oposición, la captura de pantalla del buzón de correo del DPO de la compañía, que reflejaría los mensajes que figuran en la bandeja de entrada del mismo en un momento dado, no un registro de mensajes recibidos. En todo caso, aunque así fuera, es decir, aunque VF no hubiese recibido ese correo de la parte reclamante avisando sobre el envío indebido de mensajes comerciales por correo electrónico y mediante SMS, nada cambiaría respecto de la infracción cometida. Por un lado, debe señalarse que VF, en su primera versión de los hechos de las tres manifestadas a esta AEPD, declaró que aquellas comunicaciones se enviaron por un error puntual, admitiendo con ello que la parte reclamante figuraba en su lista de exclusión interna; y por otro lado, que en su segunda versión de los hechos VF declaró que los correos electrónicos se remitieron por estar incorrectamente introducidas en la base de datos las preferencias de la parte reclamante, lo que viene a significar que habiéndose ésta opuesto no figuraba así registrado en sus base de datos. Además, la propia entidad VF ha reconocido que tuvo conocimiento de esa comunicación con el traslado de la reclamación que le fue efectuado por esta AEPD y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 aún así, con posterioridad remitió el correo electrónico de fecha 19/07/2024 y los mensajes que constan reseñados en el Hecho Probado Cuarto. Sobra decir que ese correo de 22/05/2024, su recepción o no por VF, en nada afecta a la infracción resultante de remitir comunicaciones electrónicas sin incluir un mecanismo de baja. En relación con la inclusión en las comunicaciones de una cláusula informativa sobre el ejercicio de derechos y un enlace para solicitar la baja, VF aporta el texto de dicha cláusula, así como capturas de pantalla de diferentes campañas publicitarias, pero ninguna de ellas se corresponde con las recibidas por el reclamante. Por su lado, la reclamación incluía capturas de pantallas de los correos electrónicos efectivamente recibidos por el reclamante con fechas 22/05/2024, 17/06/2024 y 19/06/2024 y en estos no figura dicha cláusula. Por ello, no procede aceptar la alegación ni la documentación que la acompaña como prueba. En cuanto a los mensajes SMS recibidos, VF alega que en el periodo en que fueron enviados (entre el 16/08/2024 y el 08/09/2024), contaba con el consentimiento de reclamante. Para acreditarlo, como se ha dicho, aporta una captura de pantalla de la aplicación de una aplicación de la empresa en la que figura un listado de acciones en la ficha del cliente, en dos de las cuales, con las fechas citadas, figuran las indicaciones “SÍ A NO” y “NO A SÍ” respectivamente, en referencia a dicha lista. Sin embargo, este documento resulta insuficiente para probar que el consentimiento para enviarle comunicaciones comerciales fuera otorgado de forma válida, pues no constituyen ninguna evidencia de que el reclamante otorgó su consentimiento para el tratamiento de sus datos personales con fines de envío de comunicaciones comerciales, sino, en todo caso, de que VF registró ese dato en su sistema. No hay en dicho sistema constancia de la manifestación de la voluntad del interesado, ni evidencia de que VF tenga algún sistema que impida la introducción de datos erróneos en la aplicación. En cualquier caso, aunque se admitiera esa alegación respecto de los mensajes enviados en agosto y septiembre de 2024, cosa que no procede de acuerdo con lo indicado anteriormente, la infracción resultaría igualmente cometida en base a los correos electrónicos reseñados en el Hecho Probado Primero. En todo caso, quedaría un correo electrónico, el remitido a la parte reclamante el 19/07/2024, sin respuesta de VF. Esta entidad ha reconocido que recibió el correo de la parte reclamante manifestando su oposición con ocasión del trámite de traslado, que le fue notificado el 25/06/2024, y que subsanó la incidencia inmediatamente. A pesar de ello, remitió el indicado correo de 19/07/2024. Esta fecha, por otra parte, es anterior al supuesto cambio de las preferencias de la parte reclamante que ha sido alegado por VF, el cual según esta entidad tuvo lugar 16/08/2024. Así, resulta que VF no ofrece explicación alguna que justifique este correo de 19/07/2024. En relación con este punto, el artículo 19.1 de la LSSI remite expresamente a la normativa de protección de datos “en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 de datos personales”, por lo que cabe citar como referencia lo dispuesto en el artículo 7.1 del RGPD en relación con las condiciones para el consentimiento: “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.” En desarrollo de este, las Directrices 5/2020 del Comité Europeo de Protección de Datos sobre el consentimiento, señalan en relación con la obligación de ser capaz de demostrar el consentimiento (punto 105), que el responsable del tratamiento debe conservar un registro (log) suficiente, que permita probar que el consentimiento fue otorgado de manera clara y expresamente para recibir comunicaciones comerciales. Es necesario aportar documentación concreta que refleje el momento, el contexto y los términos en los que se obtuvo el consentimiento. En relación con el procedimiento alega VF que, en caso de imponerse una sanción en el presente procedimiento, deberían tenerse en cuenta, como circunstancias atenuantes, la adhesión de VF al “Código de conducta para el tratamiento de datos en la actividad publicitaria” desarrollado por Autocontrol en colaboración con la AEPD, y que la presente reclamación podría haber sido “tramitada por el sistema de resolución extrajudicial implementado por Autocontrol para resolver controversias de este tipo, tratándose el caso concreto de un tratamiento de datos relacionado con la actividad publicitaria de Vodafone, debido a un error puntual y aislado en sus sistemas. De haberse tramitado por esta vía, Vodafone hubiese dado solución al reclamante de una forma ágil y efectiva, pues se hubiera regularizado inmediatamente el error que originó la reclamación, alcanzando la misma finalidad y evitando la sanción para Vodafone quien como entidad adherida asume los costes que supone acogerse del Código”. Al respecto cabe señalar que VF alega estar adherida el Código de Conducta para el tratamiento de Datos en la actividad Publicitaria, de Autocontrol, pero éste no se corresponde con uno de los previstos en el artículo 18 de la LSSI, que son los que permiten considerar lo dispuesto en el artículo 40.
2. g)para graduar la sanción. Por último, alega VF que deberían contemplarse como circunstancias atenuantes la falta de intencionalidad o negligencia, así como el plazo de tiempo en que se cometió la infracción. Respecto de la falta de intencionalidad o negligencia, el artículo 40 de la LSSI, establece en su letra
3. a)lo siguiente: “Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
4. a)La existencia de intencionalidad.” Dicho precepto alude a la “existencia” de intencionalidad, por lo que cabe interpretarse como la posibilidad de elevar la cuantía de la sanción en caso de que existiera intencionalidad, de modo que la inexistencia de intencionalidad no supondría un atenuante y no correspondería disminuir la cuantía por no existir intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 En el mismo sentido, el ordenamiento español exige siempre, para la imputabilidad, la concurrencia de dolo o negligencia. Por tanto, su ausencia o que su ausencia tendría el efecto de eximir de responsabilidad, no atenuar como pretende el reclamado. En todo caso, en el presente caso concurre como mínimo negligencia grave al haber enviado los correos tras la recepción de la oposición del reclamado (de hecho, VF reconoce tenerlo en su “lista Robinson” interna) y, en varios casos, sin incorporar un mecanismo de oposición en las comunicaciones. Por estos motivos no se acepta la alegación. En cuanto al periodo de plazo en que se cometió la infracción, se entiende que VF lo alega en relación con los correos electrónicos recibidos entre el mes de mayo y julio, asumiendo (de acuerdo con sus alegaciones), que el envío de SMS no implica una infracción. Dado que, como se ha expuesto anteriormente, se considera que el envío de SMS también constituye parte de la infracción, no cabría tener en cuenta esta circunstancia como atenuante. Por otra parte, VF formula cinco alegaciones a la propuesta de resolución, que se analizan a continuación. 1. La primera alegación se refiere a los tres correos electrónicos recibidos por el reclamante, sobre los que VF afirma lo siguiente: “Si bien en las alegaciones al acuerdo de inicio de procedimiento sancionador Vodafone indicó que el envío de los correos electrónicos de fechas 22/05/24, 17/06/24, 19/06/24, 16/07/24 (en adelante, “correos electrónicos enviados”) eran fruto de un error técnico puntual a la hora de aplicar el filtro Robinson implementado por defecto en todas las comunicaciones comerciales, tras volver a realizar una revisión exhaustiva del motivo por el que el reclamante volvió a recibir comunicaciones comerciales, se ha podido constatar que el filtro Robinson se aplicó correctamente en todo momento. El motivo por el que Vodafone procedió al envío de los correos electrónicos citados es que la cuenta de correo electrónico del reclamante (***EMAIL.1) constaba en las fechas de envío como cuenta de correo electrónico de contacto de otro cliente que sí tenía autorizado el envío de comunicaciones comerciales. Por este motivo, B.B.B. comenzó a recibir comunicaciones comerciales a pesar de constar en la Robinson de Vodafone.” Aporta como prueba una captura de pantalla del sistema de VF donde se ven dos líneas de registro con la misma dirección de correo electrónico asignadas a diferentes clientes. Señala además VF que el 29/12/2024 se modificó el contacto del segundo cliente, aportando captura de pantalla de una aplicación de la empresa, por lo que afirma que la situación estaría completamente resuelta. De acuerdo con lo anterior, VF añade lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 “Estas nuevas pruebas deberán ser valoradas a los efectos de no entender vulnerado el artículo 21.1 de la LSSI, dado que se ha podido evidenciar que mi representada tuvo en cuenta y aplicó correctamente la oposición del reclamante a recibir comunicaciones comerciales previamente a ejecutar los envíos de las comunicaciones comerciales y así se lleva realizando desde su alta como cliente, y que el Reclamante ha manifestado.” En relación con este punto, VF ha aportado tres versiones distintas sobre los hechos, una en cada escrito que ha dirigido a la AEPD; todas ellas sin soporte documental que acredite sus manifestaciones:
5. a)Que se trataba de un error puntual y aislado en el momento del filtrado.
6. b)Que habían sido incorrectamente introducidas en la base de datos de la empresa las preferencias de la parte reclamante en relación con la publicidad.
7. c)Que la cuenta de correo estaba asociada a otro cliente que sí tenía autorizado el envío de comunicaciones comerciales En relación con esta última versión, por un lado, la prueba aportada consiste, de nuevo, en una captura de pantalla del sistema interno de VF. En primer lugar, no puede considerarse acreditación suficiente de que el interesado ha dado su consentimiento, como ya se argumentó en la propuesta de resolución y como se analiza más adelante en esta resolución. Al margen de esa falta de acreditación, aun asumiendo que la causa que hubiera originado el envío de los correos electrónicos hubiera sido la introducción de la misma dirección de correo electrónico para dos clientes diferentes, ello no implica que no haya habido una infracción del artículo 21.1 de la LSSI: dicho artículo prohíbe el envío de comunicaciones publicitarias por correo electrónico que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios. En el presente caso, lo que ha quedado acreditado es que las comunicaciones no fueron autorizadas y que, a pesar de ello, se enviaron. Por otro lado, no se aporta información sobre los motivos por los que, según VF, constaban dos direcciones diferentes. Se desconoce por tanto si pudiera deberse a un error del cliente al facilitar sus datos, a un error de la propia empresa en el registro de los datos o a alguna otra causa. No obstante, cualquiera que sea el motivo (que no afecta a este procedimiento), el hecho de que en el sistema interno de VF constara una misma dirección para dos clientes, no evidencia ni que se haya cumplido con las obligaciones del artículo 21.1, ni que se haya respetado el derecho de oposición, como pretende VF. Al contrario, en todo caso mostraría que el sistema que aplica VF para registrar y gestionar los consentimientos no garantiza que se no se envíen comunicaciones comerciales a clientes que expresamente se han opuesto a ello, que es la obligación que impone el artículo 21.1 de la LSSI y de cuyo cumplimiento VF es responsable. Por ello, no se acepta la alegación. Por otro lado, en relación con esta misma alegación, para evidenciar la no recepción de la solicitud del reclamante en el buzón de su DPO, VF insiste en que no se recibió dicha comunicación aportando captura de pantalla del buzón de correo (prueba que no se aceptó en la fase de instrucción) y, adicionalmente, informa de que se ha solicitado al equipo forense de VF que consulte el servidor de la cuenta de correo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 La búsqueda se habría efectuado, de acuerdo con VF, teniendo en cuenta como parámetros el nombre del reclamante, su dirección de correo electrónico, el título del asunto y la fecha de envío. Aporta pantallazo del resultado de la búsqueda, que habría concluido que no se recibió dicho correo. Por otro lado, alega que el correo remitido por el reclamante es una captura de pantalla en la que solo constan las cabeceras de las comunicaciones, por lo que no debería aceptarse como prueba. Al respecto cabe contestar que esta circunstancia no altera los hechos objeto de la infracción: que el reclamante recibió comunicaciones comerciales no consentidas, habiendo reconocido además VF que constaba en su sistema la oposición del reclamante. Tampoco altera la argumentación expuesta en la propuesta de resolución en relación con las circunstancias agravantes y atenuantes y, por tanto, no afecta a la cuantía de la sanción propuesta. 2. La segunda alegación se refiere al envío de mensajes SMS. VF señala que no se han tenido en cuenta las pruebas aportadas, en concreto las capturas de pantalla del sistema de la empresa. En relación con esta documentación, añade aclaraciones sobre la información que aparece en la misma. Afirma que las preferencias sobre recepción de comunicaciones comerciales las indican los clientes a través de una APP, identificándose con usuario y contraseña (la referencia “ENCARE” que aparece en el registro se referiría a la procedencia del permiso), y de esa acción queda registro en el sistema de VF, que genera trazabilidad, y del que se han aportado capturas de pantalla. Al respecto cabe reiterar lo manifestado anteriormente sobre la alegación realizada al acuerdo de inicio, que también es aplicable a la primera alegación (sobre el envío de correos electrónicos), en el sentido de que este documento (la captura de pantalla del sistema interno de VF) resulta insuficiente pues no constituye una evidencia de que el reclamante otorgó su consentimiento para el tratamiento de sus datos personales con fines de envío de comunicaciones comerciales, sino, en todo caso, de que VF registró ese dato en su sistema. No obstante, cabe mencionar la información adicional que aporta VF en sus alegaciones a la propuesta de resolución, que consisten en una aclaración de los conceptos que aparecen en la captura de pantalla, en los siguientes términos: “En la misma se constata el momento, el contexto (con la descripción de la acción y el canal) y los términos del consentimiento (siendo esta la codificación que se vincula a los permisos de la App de cliente, en este caso “Si Robinson” o “No Robinson”). Debe entenderse que todas las acciones que se realizan sobre los datos del cliente vuelcan en la ficha del cliente, generándose trazabilidad de todas las acciones. Lo que se está mostrando, son los logs que vuelcan en la ficha de cliente de los permisos dados a través de la App para lo cual el cliente tiene que logarse con usuario y contraseña, acceder específicamente a la sección de gestión de permisos y preferencias y modificar expresamente sus permisos. Como se puede observar del pantallazo, con fecha 16 de agosto de 2024 se habilitan los permisos en Mi Vodafone (el sistema lo refleja como “SI Robinson” a “NO Robinson”) y en fecha 8 de septiembre de 2024 se vuelven a deshabilitar, también a través de Mi Vodafone C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 (reflejándose en sistemas como “NO Robinson” a “SI Robinson”). Por tanto, las comunicaciones comerciales enviadas por SMS contaban con una base de legitimación válida. El Reclamante otorgó su autorización a dichos envíos. La referencia ECARE se refiere a la procedencia del permiso marcado en el apartado de autogestión, siendo esta la App de cliente Mi Vodafone. El permiso habilitado en Mi Vodafone vía autogestión fue el siguiente (el subrayado en amarillo es nuestro a los efectos de identificar con mayor claridad el permiso habilitado) (…) La consideración de que las presentes pruebas no constituyen un registro de logs debería volver a valorarse, siendo que estamos ante un registro que se lleva a cabo en los sistemas, figuran las fechas de habilitación (16/08/2024) y deshabilitación del permiso (08/09/2024) y figurando el lugar desde el cual se ha concedido el permiso, ECARE, que se refiere a la sección de autogestión de Mi Vodafone.” Esta información, sin embargo, no invalida el argumento que ya se puso de manifiesto en la propuesta de resolución. En este procedimiento no se está cuestionando ni el funcionamiento de la aplicación interna de VF ni que ésta sea adecuada para que la empresa lleve a cabo, entre otras cosas, el registro y gestión interna de los consentimientos otorgados por sus clientes. Lo que se pone en cuestión es si una captura de pantalla de ese sistema es una acreditación suficiente a efectos de este procedimiento. En ese sentido, hay que tener en cuenta que la exigencia de la normativa es que VF debe ser capaz de demostrar que su cliente consintió el envío de comunicaciones comerciales. Si contra la afirmación de su cliente de que no había otorgado su consentimiento se aceptara como prueba una captura de una aplicación interna que administra la propia empresa, se estaría vaciando de contenido esa obligación de VF de acreditar el consentimiento. Por estos motivos, no se acepta la alegación. 3. La tercera alegación de VF se refiere a la presunta infracción del artículo 21.2 de la LSSI. Manifiesta VF que cuenta con un proceso interno en virtud del cual todas y cada una de las comunicaciones comerciales de Vodafone deben incorporar un mecanismo válido de oposición. Al respecto cabe aclarar que no se están analizando en el presente procedimiento los procesos internos con los que cuenta VF en relación con la incorporación del mecanismo de oposición. Lo que se analiza son tres comunicaciones en concreto, remitidas por correo electrónico, que han sido objeto de una reclamación. En relación con esas tres comunicaciones, por un lado, en la documentación aportada por el reclamante no se aprecia que esos tres correos cuenten con dicho mecanismo. Por otro lado, ni en la respuesta al traslado, ni en las alegaciones al acuerdo de inicio, ni en las alegaciones a la propuesta de resolución, aporta VF documentación relativa a dichas comunicaciones. Lo que aporta son otras comunicaciones enviadas por VF, a modo de ejemplo, referentes además a campañas publicitarias distintas a aquellas a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 las que refiere la reclamación. Por este motivo, se considera que se ha producido una infracción del artículo 21.2 de la LSSI en relación con esas tres comunicaciones. 4. En cuarto lugar, alega VF que, en caso de que se entendiera que ha habido infracción, no existiría culpa en los términos del artículo 28.1 de la LRJSP. Afirma VF que ha no ha habido negligencia en la medida en que hay procesos internos en la compañía que establecen que toda comunicación comercial debe incorporar un mecanismo de oposición válido. Añade además que “Teniendo en cuenta lo anterior, deberá determinarse si Vodafone ha empleado la diligencia que le era exigible en el envío de comunicaciones comerciales a B.B.B., de acuerdo con lo establecido en los artículos 21.1 y 21.2 de la LSSI. (…) Teniendo en cuenta la especial naturaleza del Derecho administrativo sancionador que determina la imposibilidad de imponer sanciones sin tener en cuenta la culpabilidad y la diligencia, o los errores que hayan podido determinar el incumplimiento de una obligación legal, esta parte mantiene la improcedencia de la imposición de las sanciones establecidas en la Propuesta de Resolución.” El llamado “principio de culpabilidad” en el procedimiento sancionador, al que VF hace referencia, está incorporado en el artículo 28.1 de la LRJSP, que establece lo siguiente: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” En el presente caso existen dos obligaciones legales de las que VF es responsable: la de no enviar comunicaciones comerciales sin consentimiento previo expreso y la de incorporar el citado mecanismo de oposición en dichas comunicaciones. De ambas obligaciones es responsable la empresa que envía las comunicaciones, que tiene un deber de diligencia y cuidado. El hecho de que se hayan enviado comunicaciones incumpliendo lo establecido en el artículo 21.1 y 2 de la LSSI implicaría en sí mismo una falta de diligencia atribuible a VF. Por otro lado, el que ese incumplimiento se debiera a un error (lo cual tampoco queda acreditado en el presente procedimiento), no invalidaría la atribución de culpa de acuerdo con el artículo 28.1 de la LRJSP. 5. En quinto lugar, alega VF que, en el caso de que se entendiera que sí puede imponerse una sanción, deberán tenerse en cuenta las siguientes circunstancias atenuantes: - La adhesión al “Código para el tratamiento de datos en la actividad publicitaria” de Autocontrol, con el argumento de que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 “La adhesión al “Código de conducta para el tratamiento de datos en la actividad publicitaria” de Autocontrol, refuerza el compromiso de Vodafone en el cumplimiento de la normativa aplicable, así como facilita y pone a disposición de los interesados una vía de resolución de controversias ágil, efectiva y sencilla. Con ello, Vodafone se exige y se compromete a un alto estándar de cumplimiento, por lo que no es baladí considerar este criterio a la hora de graduar las sanciones de la AEPD a la baja tal y como esta misma Agencia ha llevado a cabo en otras ocasiones sin cuestionar el grado de beneficio. Cabe recordar que la casuística objeto del presente sancionador al que dan respuesta las presentes alegaciones, es una de las recogidas en el ámbito de aplicación del mencionado Código, pudiendo haber sido tramitada por el sistema de resolución extrajudicial implementado por Autocontrol para resolver controversias de este tipo, tratándose el caso concreto de un tratamiento de datos relacionado con la actividad publicitaria de Vodafone. De haberse tramitado por esta vía, Vodafone hubiese dado solución al Reclamante de una forma ágil y efectiva, pues se hubiera regularizado inmediatamente el error que originó la reclamación, alcanzando la misma finalidad y evitando la sanción para Vodafone quien como entidad adherida asume los costes que supone acogerse al Código.” Al respecto cabe señalar que VF alega estar adherida el Código de Conducta para el tratamiento de Datos en la actividad Publicitaria, de Autocontrol, pero éste no se corresponde con uno de los previstos en el artículo 18 de la LSSI, que son los que permiten considerar lo dispuesto en el artículo 40.
8. g)para graduar la sanción. - La falta de intencionalidad o negligencia grave, dado que no se había conocido la raíz del problema y actualmente se ha dado solución al mismo. Por parte de esta Agencia se reitera el argumento manifestado en el acuerdo de inicio, en el sentido de que el artículo 40
9. a)de la LSSI alude a la “existencia” de intencionalidad, por lo que se interpreta como la posibilidad de elevar la cuantía de la sanción en caso de que existiera intencionalidad, de modo que la inexistencia de intencionalidad no supondría un atenuante y no correspondería disminuir la cuantía por no existir intencionalidad. Por este motivo no se acepta la alegación. - El plazo de tiempo durante el que se ha venido cometiendo la infracción, reiterando que el envío de SMS entre el 19/08/2024 y el 08/09/2024 era legítimo. Dado que, como se ha expuesto, no se considera acreditado que dicho envío fuera legítimo, no se tiene en cuenta esta circunstancia como atenuante. Finalmente, alega VF no estar de acuerdo con las circunstancias mencionadas por esta Agencia para graduar las sanciones de los artículos 21.1 y 21.2 de la LSSI: - En cuanto a la afirmación de esta Agencia en el acuerdo de inicio de que el envío de spam se ha repetido en varias ocasiones incluso con posterioridad al traslado de la reclamación por parte de la Agencia, VF insiste en los argumentos de la primera y segunda alegación (el error en relación con los correos electrónicos y la constancia de un consentimiento en su aplicación en el caso de los mensajes SMS). Dichas alegaciones ya han sido analizadas anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 - En relación con la mención por parte de esta Agencia del expediente EXP202211263 a efectos de tomar en consideración la agravante de reincidencia, alega VF que no se fundamenta en el acuerdo de inicio la analogía entre ese procedimiento y el presente y que dicho procedimiento finalizó por pago voluntario sin asunción de culpa por parte de VF, por lo que no debería ser tenido en cuenta. En cuanto a la analogía entre los procedimientos, ambos se refieren a infracciones del artículo 21 de la LSSI. En cuanto al hecho de que el procedimiento terminara por pago voluntario, no cabe entender que en ese caso no hubiera infracción, al margen de que VF asumiera o no la culpa. El artículo 85.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, al prever la posibilidad de la reducción de la sanción cuando hay pago voluntario, establece que “Cuando la sanción tenga únicamente carácter pecuniario (…) el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción.” En el expediente de referencia, dado que hubo un pago voluntario anterior a la resolución, éste implicó la terminación del procedimiento, en cumplimiento del citado artículo 85.2, que se formaliza en una resolución de terminación por pago voluntario. Esa forma de terminación responde al hecho de que VF se acogiera a una modalidad de pago reducido y con una reducción sobre el importe de la sanción. Sin embargo, de ello no cabe deducir que no existiera una infracción, ya que ello sería contradictorio con la existencia de una sanción (multa). Solo cabe imponer una sanción (en este caso de multa) porque existe una infracción que se está sancionando. Por consiguiente, la resolución por la que se ponía fin a aquel procedimiento implicaba necesariamente la imputación de una infracción. - Por último, alega VF que en el acuerdo de inicio se afirma que “en el presente caso existen cuatro correos electrónicos en los que, de acuerdo con las evidencias que obran en el expediente, no consta la posibilidad de oponerse al tratamiento de los datos con fines promocionales”, cuando en realidad serían únicamente tres, de fechas 22/05/2024, 17/06/2024 y 19/06/2024. Efectivamente, se trata de un error. En el fundamento de derecho VIII de la propuesta de resolución se mencionaba la existencia de cuatro correos sin el citado mecanismo, cuando en realidad son tres, como constaba correctamente en el hecho probado segundo y en el fundamento de derecho VI de la propuesta de resolución. III Obligación incumplida del artículo 21.1 de la LSSI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación.” La definición de prestador del servicio se contiene en el apartado
10. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Por su parte, el artículo 21.1 de la LSSI, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el primer párrafo del apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas o autorizadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. En este caso, se ha producido un incumplimiento de lo dispuesto en el artículo 21.1 de la LSSI, dado que consta el envío de las comunicaciones comerciales indicadas en el apartado de hechos probados habiendo sido acreditada la oposición del reclamante y no habiendo quedado acreditado que éste hubiera modificado sus preferencias al respecto.. IV Tipificación y calificación de la infracción del artículo 21.1 de la LSSI De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a VF, por vulneración del artículo 21.1 de la LSSI, que señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.” De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
11. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
12. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21.1 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. En el presente caso, los hechos antes indicados, que consistirían en un incumplimiento de la obligación del artículo 21.1, se corresponderían con una infracción leve, conforme al artículo 38.4
13. d)de la LSSI. V Sanción por infracción del artículo 21.1 de la LSSI La infracción indicada puede ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1
14. c)de la LSSI, que estipula lo siguiente: “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones: (…)
15. c)Por la comisión de infracciones leves, multa de hasta 30.000 euros.” Asimismo, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 40 de la LSSI: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23
16. a)La existencia de intencionalidad.
17. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
18. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
19. d)La naturaleza y cuantía de los perjuicios causados.
20. e)Los beneficios obtenidos por la infracción.
21. f)Volumen de facturación a que afecte la infracción cometida.
22. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente caso cabe tener en cuenta que el envío de spam se ha repetido en varias ocasiones, en concreto cuatro correos electrónicos y cuatro mensajes SMS, en un periodo que va desde el 22/05/2024 hasta el 08/09/2024. También cabe tener en cuenta, en cuanto al periodo en que se han recibido, que los SMS fueron enviados con posterioridad a haber recibido VF el traslado de la reclamación y, por tanto, teniendo conocimiento de que se había producido, en relación con el reclamante, una incidencia al respecto. Por último, se ha producido reincidencia por la comisión de infracciones de la misma naturaleza por parte de VF, declarada por Resolución de terminación del procedimiento por pago voluntario firmada por la Directora de la Agencia el 29/03/2023, en relación con el expediente N.º: EXP202211263, por incumplimiento del artículo 21.1 de la LSSI. Las circunstancias individuales del presente caso, a efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador y los criterios establecidos en el artículo 40 de la LSSI, permiten fijar una sanción de multa administrativa por la infracción del artículo 21.1 de la LSSI es de QUINCE MIL euros (15.000,00 euros). VI Obligación incumplida del artículo 21.2 de la LSSI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 El artículo 21 de la LSSI, en los párrafos segundo y tercero de su apartado segundo establece lo siguiente: “En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. En el presente caso, el reclamante ha aportado correos electrónicos de carácter comercial enviados por VF de fecha 22/05/24, 17/06/24 y 19/06/24, en los que no se hace referencia a la posibilidad de oponerse al tratamiento de sus datos con fines promocionales ni figura un mecanismo para ejercitar este derecho. Como se ha dicho anteriormente, la documentación aportada por VF, consistente en capturas de pantalla de campañas comerciales en las que sí figura esta información, no se refieren ni a las comunicaciones recibidas por el reclamante ni a las mismas campañas a las que estas hacen referencia. Por tanto, de acuerdo con las evidencias contenidas en el expediente, se habría producido un incumplimiento de la obligación del artículo 21.2. VII Tipificación y calificación de la infracción del artículo 21.2 de la LSSI De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a VF, por vulneración del artículo 21.2 de la LSSI, que señala lo siguiente: 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” De conformidad con lo establecido en el artículo 38, en sus apartados 3 y 4 de la LSSI, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
23. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, a su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21”. “4. Son infracciones leves:
24. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21.2 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales sin ofrecer al destinatario un procedimiento sencillo y gratuito para que pueda oponerse al tratamiento de sus datos con fines promocionales o su envío insistente o sistemático a un mismo destinatario sin el aludido procedimiento, en los términos que se indican en el también citado artículo 38.3.b), se producirá una infracción de carácter grave a los efectos de la LSSI. En el presente caso, los hechos antes indicados, relativos al incumplimiento de la obligación del artículo 21.2 se corresponderían con una infracción leve, conforme al artículo 38.4
25. d)de la LSSI. VIII Sanción por infracción del artículo 21.2 de la LSSI La infracción indicada puede ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39.1
26. c)de la LSSI, que estipula lo siguiente: “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones: (…)
27. c)Por la comisión de infracciones leves, multa de hasta 30.000 euros.” Asimismo, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 resulte de la instrucción se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 40 de la LSSI: “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
28. a)La existencia de intencionalidad.
29. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
30. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
31. d)La naturaleza y cuantía de los perjuicios causados.
32. e)Los beneficios obtenidos por la infracción.
33. f)Volumen de facturación a que afecte la infracción cometida.
34. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En el presente caso existen tres correos electrónicos en los que, de acuerdo con las evidencias que obran en el expediente, no consta la posibilidad de oponerse al tratamiento de los datos con fines promocionales, de acuerdo con lo establecido en el apartado 2 del artículo 21 de la LSSI. Las circunstancias individuales del presente caso, a efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador y los criterios establecidos en el artículo 40 de la LSSI, permiten fijar una sanción de multa administrativa por la infracción del artículo 21.2 de la LSSI, de CINCO MIL euros (5.000,00 euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VODAFONE ESPAÑA, S.A.U., con NIF A80907397, una sanción de multa de VEINTE MIL euros (20.000,00 euros), correspondiente a las siguientes infracciones: - Por una infracción del artículo 21.1 de la LSSI, tipificada en el artículo 38.4.
35. d)de la LSSI, una multa de QUINCE MIL euros (15.000,00 euros). - Por una infracción del artículo 21.2 de la LSSI, tipificada en el artículo 38.4.
36. d)de la LSSI, una multa de CINCO MIL euros (5.000,00 euros). SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
37. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
38. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Lorenzo Cotino Hueso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es